CVE-2025-10072

W Portabilis i-Educar do wersji 2.10 wykryto podatność w pliku /intranet/agenda_preferencias.php. Manipulacja argumentem cod_agenda prowadzi do wstrzyknięcia SQL. Atak może być przeprowadzony zdalnie, a exploit jest publicznie dostępny. Aktualizacja do wersji 2.12 usuwa tę lukę.

W Portabilis i-Educar do wersji 2.10 wykryto podatność w pliku /intranet/agenda.php. Manipulacja argumentem cod_agenda prowadzi do wstrzyknięcia SQL. Atak może być przeprowadzony zdalnie, a exploit jest publicznie dostępny. Aktualizacja do wersji 2.12 usuwa tę lukę.

W Portabilis i-Educar do wersji 2.10 wykryto podatność w pliku /intranet/educar_tipo_usuario_lst.php. Manipulacja argumentami nm_tipo/descrição prowadzi do wstrzyknięcia SQL. Atak może być przeprowadzony zdalnie, a exploit został publicznie ujawniony. Aktualizacja do wersji 2.12 usuwa tę lukę.

W Portabilis i-Educar 2.10 zidentyfikowano słabość w pliku /intranet/public_distrito_cad.php. Manipulacja argumentem nome powoduje cross-site scripting. Atak może być przeprowadzony zdalnie. Exploit został upubliczniony. Aktualizacja do wersji 2.12 łagodzi ten problem. Producent wyjaśnia, że po przetestowaniu na poprawionej wersji opisane zachowanie XSS nie mogło zostać odtworzone.

W Portábilis i-Educar do wersji 2.7.5 wykryto podatność na cross-site scripting w pliku \intranet\agenda_imprimir.php. Manipulacja argumentem cod_agenda z wejściem ");'> <script>alert(document.cookie)</script> powoduje XSS. Atak może być przeprowadzony zdalnie. Exploit jest publiczny. Producent wyjaśnia, że ten punkt końcowy i powiązana funkcjonalność nie są już obecne w aktualnym kodzie i zostały usunięte.